このウェブページのスクリーンショットから、以下の脆弱性に関する重要な情報を取得できます： 1. 脆弱性の説明： - 環境変数インジェクション：Litestarの ワークフローは、 ワークフローの完了時にトリガーされ、トリガーされたワークフローによって生成されたアーティファクトをダウンロードして展開します。 - 環境変数の定義：ダウンロードしたアーティファクト内にある ファイルの内容が読み取られ、環境変数として定義されます。 - 悪意のあるファイルのインジェクション：攻撃者は悪意のある ファイルを送信でき、これには悪意のあるコードが含まれており、結果として環境変数に悪意のあるコードがインジェクションされます。 2. 脆弱性の影響： - 影響を受けるバージョン：影響を受けるバージョンは です。 - 修正されたバージョン：修正されたバージョンは です。 3. 脆弱性の悪用： - 悪用手順： - リポジトリをクローン - ファイルの編集 - Pull Requestの作成 - 攻撃者がPull Requestをトリガーし、 ワークフローを起動して悪意のあるアーティファクトを読み取り、環境変数をインジェクションする。 4. 影響： - 権限昇格：攻撃者は書き込み権限、メタデータの読み取り権限、およびPull Requestsへの書き込み権限を取得できます。 - 機密情報の漏洩： のシークレット情報が攻撃者に漏洩します。 5. 修正策： - ダウンロードしたアーティファクトの内容を検証する。 - GITHUB_ENVへのリダイレクト時に改行を追加しないようにする。 6. リソース： - CodeQL for JavaScript - Expression injection in Actions - Keeping your GitHub Actions and workflows secure Part 2: Untrusted input - Keeping your GitHub Actions and workflows secure Part 1: Preventing pwn requests 7. 開示ポリシー： - 開示レポートは90日間有効です。詳細は調整された開示ポリシーを参照してください。 これらの情報は、脆弱性の性質、影響、および修正策を詳細に記述しており、脆弱性の深刻性の理解と安全な修正の実施に役立ちます。